Nach Angaben von SAP können Angreifer, die die Software über das Netzwerk erreichen, über die Lücken im Web Dispatcher und im Internet Communication Manager (ICM), der den Webverkehr des Servers abwickelt, Code ausführen. Die Schwachstelle im SAML-2.0-Service-Provider, der die Benutzeranmeldung an einen Identity Provider übergibt, erlaubt auf manchen Systemen mit SAML-Single-Sign-on die Anmeldung als beliebiger Benutzer. Über die Lücke im SAP Gateway, das den Server mit anderen SAP-Systemen und Programmen verbindet, kann sich ein Angreifer als einer der eigenen Server des Systems ausgeben und unbefugte Aktionen durchführen.
Jede Lücke wird laut dem November-Sicherheitsbulletin von SAP in einem eigenen Hinweis (SAP Note) behoben; die betroffenen Versionen unterscheiden sich je nach Komponente. Die Hinweise liegen im anmeldepflichtigen Portal SAP for Me. SAP empfiehlt dringend, sie vorrangig einzuspielen.
Betroffen sind auch Kernel, die nicht mehr gewartet werden. Das teilt das auf SAP-Sicherheit spezialisierte Unternehmen Onapsis mit, dessen Forscher die Lücken in ICM, Web Dispatcher und Gateway entdeckt haben. Die Onapsis-Warnung zu ICM2SHELL nennt für die ICM- und Web-Dispatcher-Lücke die Kernel 7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85 und 7.89; die Warnung zu PROXYGATE führt für die Gateway-Lücke dieselben Kernel sowie zusätzlich 7.20 und 7.21 auf. Für diese Versionen gibt es möglicherweise keinen Fix, sie müssen auf einen noch gewarteten Kernel aktualisiert werden.
SAML-Anmeldung als privilegierter Benutzer
Mit CVE-2026-120017 kann sich ein Angreifer auf den betroffenen SAML-Konfigurationen laut SAP auch als privilegierter Benutzer anmelden. Das kann zur vollständigen Kompromittierung führen, möglicherweise bis in angebundene Systeme. Eine andere SAML-Lücke in derselben Software, CVE-2026-44748, war bereits am 9. Juni behoben worden; sie setzte allerdings ein normales Benutzerkonto voraus.
ICM2SHELL: ein Fehler, zwei CVEs
Bei der ICM-Lücke (CVE-2026-76964) und der Web-Dispatcher-Lücke (CVE-2026-89126) kann präparierter Netzwerkverkehr den Speicher beschädigen. Gelingt das, kann der Angreifer Code ausführen und das System vollständig übernehmen. Onapsis zufolge gehen beide Lücken auf einen einzigen Fehler zurück, den das Unternehmen ICM2SHELL nennt. Er sitzt in Kernel-Code, den ICM und Web Dispatcher gemeinsam nutzen, um fragmentierte WebSocket-Nachrichten wieder zusammenzusetzen. Onapsis hat SAP einen funktionierenden Exploit übergeben, der Betriebssystembefehle als <sid>adm ausführt, also mit dem Konto, dem die SAP-Installation gehört.
Derselbe Fehler kann beide Komponenten zum Absturz bringen. Stürzt ein Web Dispatcher ab, sind während des Neustarts alle dahinterliegenden SAP-Systeme abgeschnitten. Da die WebSocket-Unterstützung standardmäßig aktiv ist, ist ein System auch dann angreifbar, wenn es WebSockets gar nicht nutzt. Dual-Stack-Systeme sind über ihren ABAP-Stack betroffen. Angriffe in freier Wildbahn haben die Forscher bisher nicht beobachtet.
PROXYGATE: Gateway hält Angreifer für eigenen Server
SAP Gateway regelt über Zugriffskontrolllisten, welche externen Programme sich verbinden dürfen, welche Programme es starten darf und welche Verbindungen es für andere weiterleitet. Bei CVE-2026-89103 aktiviert das Gateway seine Standardliste mit hohen Rechten, sodass ein externer Angreifer als einer der eigenen Applikationsserver des Systems behandelt werden kann. Er kann dann in der Anwendungsumgebung unbefugt handeln.
Die Onapsis-Forscher, die die Lücke PROXYGATE nennen, erklären, dass die Angreifbarkeit von der Proxy-Liste prxyinfo abhängt oder, wenn diese fehlt, von einem Profilparameter – nicht von den Listen secinfo und reginfo, die die meisten Härtungsleitfäden behandeln. Lassen die Proxy-Einstellungen es zu, bringen präparierte Anfragen das Gateway dazu, einen Außenstehenden als eigenen Applikationsserver zu behandeln; es kann dann für ihn Betriebssystembefehle als <sid>adm ausführen. Betroffen ist jedes System mit Gateway, auch AS-Java-, Dual-Stack- und eigenständige Gateway-Installationen. Die Forscher haben den Angriff in einem an SAP übergebenen Proof of Concept vollständig demonstriert, Angriffe aber bislang nicht beobachtet.
Empfehlungen zu den einzelnen Lücken
Das Unternehmen RedRays, das die Hinweise in SAP for Me ausgewertet hat, rät in seiner Patch-Day-Analyse, Kernel und alle Web Dispatcher in einem einzigen Rollout zu aktualisieren, und zwar auf Stände, die alle 17 Kernel- und Web-Dispatcher-Korrekturen dieses Monats abdecken. Die folgenden Hinweise stammen von RedRays, sofern nicht anders angegeben:
SAML2 (CVE-2026-120017): Unter bestimmten Konfigurationen prüfte der Service Provider die Signaturen eingehender Assertions nicht. Jedes AS-ABAP-System, das SAML2 für die Browser-Anmeldung nutzt – etwa Fiori Launchpad oder Web GUI hinter einem Identity Provider –, sollte bis zum Beweis des Gegenteils als betroffen gelten. Einen Workaround gibt es nicht; nur die Korrekturanleitung oder das genannte Support Package helfen. RedRays empfiehlt zudem, alle vertrauenswürdigen Identity Provider in der Transaktion SAML2 zu prüfen und Audit-Logs auf SAML-Anmeldungen privilegierter Benutzer aus unerwarteten Quellen zu durchsuchen.
SAP Gateway (CVE-2026-89103): Onapsis rät, zuerst prxyinfo zu prüfen. Eine freizügige Liste, die breite Netze oder beliebige Hosts zulässt, lässt ein System auf jedem Patchstand angreifbar; sie sollte eingeschränkt werden, beginnend mit aus dem Internet erreichbaren Gateways. Fehlt prxyinfo, entscheidet der Profilparameter gw/acl_mode_proxy, der ab Werk auf 0 steht und damit jede Proxy-Verbindung erlaubt. Die Kernel 7.93 und 9.16 kennen den Parameter bereits und müssen ihn auf 1 setzen; 7.22, 7.53, 7.54, 7.77 und 8.04 erhalten ihn mit dem Kernel-Patch, auch 9.20 und 9.21 bekommen einen Kernel-Patch. Der Patch allein ohne restriktive prxyinfo oder gw/acl_mode_proxy=1 beseitigt die Angreifbarkeit nicht. Einen offiziellen Workaround gibt es nicht, eine restriktive prxyinfo verringert das Risiko aber bis zum Patch. RedRays empfiehlt außerdem, die Gateway-Ports 33NN und 48NN auf Hosts zu beschränken, die RFC-Zugriff benötigen.
ICM (CVE-2026-76964): WebSocket-Steuerframes mit ungültigen Längenfeldern lösen vor jeder Anmeldung einen Heap-Schreibzugriff außerhalb der Grenzen aus. SAP NetWeaver AS Java ist nicht betroffen; der Fix wird über dw.sar und den SP Stack Kernel ausgeliefert. Erreichen Nutzer den ICM nur über einen Web Dispatcher, schützt laut der ICM-Analyse von RedRays vorerst ein Patch dieses Web Dispatchers auf die in FAQ-Hinweis 3778788 genannten Stände – allerdings nur, wenn niemand die ICM-Ports direkt erreicht. Laut Onapsis wirkt dieser Schutz nicht bei einem als Router konfigurierten Web Dispatcher (PROT=ROUTER). Zudem warnt Onapsis, dass bei Release 7.93 ein höherer Patchstand nicht automatisch korrigiert ist: Patch Level 419 ist noch verwundbar, den Fix enthalten nur der aktualisierte Stack Kernel 401, nach Erscheinen 402 sowie 420 und neuer. Als letztes Mittel blockiert das Abschalten der WebSocket-Unterstützung den Fehler, legt aber davon abhängige Funktionen lahm.
Web Dispatcher (CVE-2026-89126): Die Ursache ist dieselbe wie beim ICM. Betroffen sind eigenständige und eingebettete Web Dispatcher, auch in SAP HANA XS Classic und XS Advanced, nicht jedoch SAP Content Server. Laut der Web-Dispatcher-Analyse von RedRays erfolgt der Patch über SAPWEBDISP.SAR für eigenständige Instanzen, über dw.sar oder den SP Stack Kernel für eingebettete, über SPS08 Revision 089.05 oder SPS07 Revision 079.11 für HANA XS Classic und ab Version 1.5.4 für XS Advanced. Das Abschalten von WebSockets hilft bis zum Patch, betrifft laut SAP-Hinweis aber ABAP Push Channels und einige Fiori-Funktionen. Zuerst sollten alle Web Dispatcher erfasst werden, denn schon eine übersehene Instanz lässt die Lücke offen.